La ciberseguridad en el sector financiero es muy importante, ya que los ciberataques pueden generar graves consecuencias en la economía nacional y global. La Unión Europea ha implementado el Reglamento DORA (en inglés, Digital Operational Resilience Act). En este artículo analizaremos los aspectos clave de esta normativa común.
¿Qué es Reglamento DORA?
Como destacamos, el Reglamento de Resiliencia Operativa Digital (DORA) es una normativa europea. Establece un conjunto de requisitos comunes en materia de gestión de riesgos y notificación de incidentes destinado al sector financiero. Su principal objetivo es garantizar que las entidades financieras y las empresas tecnológicas de la información (TIC) que les prestan servicios necesarios para su funcionamiento puedan responder y recuperarse de eventos disruptivos, como pueden ser ciberataques o fallos tecnológicos.
Objetivos del Reglamento
Uno de los pilares clave es la armonización de normas en toda la Unión Europea. Antes de su introducción, los criterios utilizados en ciberseguridad variaban significativamente entre los Estados miembros. De esta manera, se creaban inconsistencias y posibles vulnerabilidades en el sistema financiero europeo.
¿Quién tiene que cumplir con la normativa?
El alcance de DORA es amplio:
- Entidades de crédito y de pago.
- Proveedores de servicios de información de cuentas.
- Entidades de dinero electrónico y proveedores de servicios de criptomonedas.
- Empresas de servicios de inversión.
- Depositarios centrales de valores y sociedades de gestión.
- Etc.
Pilares de resiliencia del Reglamento DORA
Por un lado, gestión de riesgos y gobernanza TIC. DORA exige que las entidades financieras desarrollen un marco sólido para la gestión de riesgos tecnológicos. Esto implica evaluar las amenazas y adoptar medidas preventivas con el objetivo de minimizar su impacto.
También será importante notificación de incidentes. Las entidades financieras deben notificarlos incidentes. Esto permitirá una respuesta coordinada y la evaluación del impacto. Lo que, a su vez, contribuirá a la estabilidad financiera.
Por otro lado, pruebas de resiliencia operativa digital. Las entidades financieras harán de forma regular pruebas de su operativa digital. Esto incluye simulacros de ciberataques y ejercicios específicos para este sector.
Por último, gestión de riesgos de terceros. Las entidades financieras deben implementar un sistema de gestión de riesgos de terceros. Entiende la evaluación continua de proveedores críticos.
Sanciones de incumplimiento
El incumplimiento de DORA puede resultar en sanciones económicas importantes. También puede llevar las restricciones operativas. Las multas varían en función de la gravedad del incumplimiento y el tamaño de la entidad. Sin embargo, deberán ser disuasorias y proporcionadas.
